Две критические ошибки удаленного выполнения кода в PHP спокойно хранились в базе кода с открытым исходным кодом более десяти лет. В прошлом месяце ИИ нашел их за считанные дни. В течение нескольких часов последовали миллионы попыток взлома. Это заголовок, и он...
Две критические ошибки удаленного выполнения кода в PHP спокойно хранились в базе кода с открытым исходным кодом более десяти лет. В прошлом месяце ИИ нашел их за считанные дни. В течение нескольких часов последовали миллионы попыток взлома.
Это заголовок, и это наименее интересная часть произошедшего.
Интересно то, что люди, обнаружившие ошибку — профессиональные исследователи безопасности из OpenAI, Wiz, принадлежащей Google, и небольшой калифорнийской фирмы Calif — сделали почти все правильно. Они нашли его, не стали использовать его в качестве оружия, они тайно координировали свои действия с Фондом PHP, дали дистрибьюторам двухмесячную фору и наложили эмбарго.
Эмбарго все равно сорвалось.
Что на самом деле произошло
PHP используется примерно на 70% веб-сайтов в мире. Две уязвимости — CVE-2026-109618 и CVE-2026-109619, имеющие общее название PHP2Shell — обе имеют оценку CVSS v4.0 9,2. Они основаны на том, как движок PHP обрабатывает память во время нехватки памяти и фатальных ошибок, особенно в отношении поведения longjmp(), которое может оставить память запроса неинициализированной или оставить глобальные указатели, нацеленные на освобожденные области памяти. При правильном соединении они выдают неаутентифицированную вилку злоумышленника.